JetBrainsは、TeamCity On-Premisesに影響を及ぼす、深刻な認証バイパスの脆弱性について警告しています。この脆弱性が悪用されると、リモートコード実行につながる恐れがあります。
このセキュリティ問題はCVE-2026-63077として追跡されており、TeamCityサーバーへのHTTPSアクセス権を持つ攻撃者がエージェントポーリングプロトコルを介して認証をバイパスし、サーバープロセスの権限で任意のOSコマンドを実行できてしまいます。
JetBrainsはアドバイザリの中で「TeamCity On-Premisesの全バージョンが影響を受けます」と警告する一方、「TeamCity Cloudをご利用のお客様については、既に必要な対策が適用済みであるため、対応の必要はありません」と付け加えています。
TeamCityは、ソフトウェアのビルド、テスト、デプロイに使用される商用の継続的インテグレーション/継続的デリバリー(CI/CD)サーバーです。
JetBrainsのソリューションエンジニアリング責任者を務めるDaniel Gallo氏によると、CVE-2026-63077の悪用に成功した場合、権限レベルに応じてTeamCityのデータや構成、保存済みの認証情報が漏えいしたり、ビルド成果物やCI/CDパイプラインが侵害されたりする可能性があるとのことです。
アドバイザリが公開された7月27日の時点では、実際に悪用された形跡は確認されていません。
TeamCityの脆弱性はこれまでも広範囲にわたって悪用されており、その中にはランサムウェア集団や国家支援型の攻撃者による事例も含まれていることから、管理者は直ちにリスク軽減策を講じる必要があります。
推奨される対応
JetBrainsによると、この問題は7月10日に非公開で報告され、TeamCityバージョン2025.11.7および2026.1.3で修正済みとのことです。同社はまず、上記バージョンへのアップグレードを推奨しています。
最新版へのアップグレードができないユーザー向けには、TeamCity 2017.1以降を対象としたプラグイン形式のセキュリティパッチが提供されています。
JetBrainsによれば、TeamCity 2024.03以降では、利用可能なセキュリティパッチプラグインが自動的にダウンロードされ、管理者へ通知が届くため、そのままインストールできるとのことです。
また、TeamCity 2017.1から2018.1までのバージョンでは、パッチプラグインのインストール後、セキュリティ更新を有効にするためにサーバーの再起動が必要になります。
セキュリティプラグインのインストール手順の詳細はこちらで確認できます。
JetBrainsはさらに、インターネットに公開されたTeamCityサーバーにはVPNアクセスやその他の保護対策を要求することを含む、より一般的な「ベストプラクティス」についても言及しています。
同社は、ログインページやREST APIを公開しているだけでも、攻撃者に新たに公表された脆弱性を悪用する足がかりを与えてしまう可能性があると注意を促しています。
攻撃者に先んじて、すべての防御層をテストする
セキュリティチームが攻撃成功を記録できているのはわずか54%、アラートが発報されるのはたった14%にすぎません。残りは環境内を検知されずに動き回っています。
Picusのホワイトペーパーでは、Breach and Attack Simulation(侵害・攻撃シミュレーション)によってSIEMやEDRのルールをテストし、脅威の検知漏れを防ぐ方法を紹介しています。
